Нужно ли репетитору подавать уведомление об обработке персональных данных и создавать политику?

Здравствуйте, Анна.

В описанной Вами модели работы Вы, скорее всего, будете являться оператором персональных данных, поскольку самостоятельно будете получать от учеников как минимум Ф.И.О., адрес электронной почты, сведения для связи и затем использовать эти данные для организации занятий через стороннюю платформу.

По общему правилу, установленному ч. 1 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», оператор до начала обработки персональных данных обязан уведомить Роскомнадзор. После изменений законодательства перечень исключений существенно сокращен: без уведомления, в частности, допускается обработка исключительно без использования средств автоматизации. В Вашем случае используются Авито, электронная почта, мессенджеры и онлайн-платформа, поэтому на это исключение рассчитывать нельзя.

То есть если Вы начинаете самостоятельную частную практику и сами собираете персональные данные клиентов, я бы рекомендовал подать уведомление в Роскомнадзор до начала такой обработки.

Что касается отдельной политики обработки персональных данных: да, такой документ лучше иметь отдельно от оферты. Ч. 2 ст. 18.1 Закона № 152-ФЗ обязывает оператора обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных. Если данные собираются через Интернет, политика должна быть доступна в той информационной среде, через которую осуществляется сбор.

При этом политика и согласие — это разные документы. Политика описывает, как Вы вообще работаете с персональными данными: какие данные собираете, для каких целей, кому можете передавать, сколько храните, как уничтожаете и т.д. Согласие — это волеизъявление конкретного ученика на обработку его данных в тех случаях, когда именно согласие является правовым основанием обработки.

Однако получать отдельное согласие нужно не всегда. В силу п. 5 ч. 1 ст. 6 Закона № 152-ФЗ обработка персональных данных допускается без отдельного согласия, если она необходима для заключения договора по инициативе самого субъекта персональных данных либо для исполнения уже заключенного договора. Поэтому если потенциальный ученик сам обращается к Вам по объявлению, сообщает свой e-mail и просит организовать пробное занятие, Вы можете обрабатывать необходимый минимум данных именно с этой целью и на данном основании.

Но здесь важно соблюдать принцип минимизации: на стадии пробного занятия обрабатывать только те данные, которые действительно нужны для связи и регистрации на платформе. Если Вы хотите дополнительно использовать данные для рассылок, рекламы, публикации отзывов, передачи третьим лицам вне необходимого для исполнения договора объема и т.п., для таких целей уже может потребоваться отдельное согласие.

Что касается передачи e-mail в ProgressMe/Edvibe, здесь нужно отдельно посмотреть условия самой платформы: кто по их документам является самостоятельным оператором данных, а кто обрабатывает данные по Вашему поручению. Если Вы передаете персональные данные другому лицу именно для обработки по Вашему поручению, ч. 3 ст. 6 Закона № 152-ФЗ устанавливает специальные требования к такому поручению, включая цели обработки, перечень данных, действия с ними, требования конфиденциальности и безопасности.

Практически я бы рекомендовал Вам оформить следующий комплект:

Уведомление Роскомнадзора о начале обработки персональных данных.
Политику в отношении обработки персональных данных как отдельный публичный документ.
Раздел о персональных данных в договоре-оферте.
При необходимости — отдельное согласие на обработку персональных данных для тех целей, которые не покрываются заключением и исполнением договора.
Отдельное согласие, если планируются рекламные рассылки или иные дополнительные цели.
Согласие, когда оно требуется, необязательно всегда оформлять на бумаге. Закон требует, чтобы оно было конкретным, предметным, информированным, сознательным и однозначным. Поэтому в электронной модели работы допустим вариант, при котором клиент получает текст согласия и совершает четко фиксируемое действие, подтверждающее согласие, например нажимает соответствующую кнопку либо направляет однозначное сообщение. Но простая фраза в оферте вроде «продолжая пользоваться услугами, Вы автоматически согласны со всем» может быть недостаточной, особенно если речь идет о дополнительных целях обработки.

Для Вашего примера с бесплатным пробным занятием оптимально еще до передачи e-mail в ProgressMe дать потенциальному ученику ссылку на политику и кратко сообщить, что e-mail будет использован для регистрации на платформе и проведения пробного занятия. Если обработка ограничена именно подготовкой к заключению договора по инициативе ученика, отдельное согласие может не требоваться. Если же Вы хотите использовать этот e-mail еще и для последующих рекламных сообщений, это уже нужно оформлять отдельно.

Если ученики могут быть несовершеннолетними, документы нужно выстраивать особенно аккуратно: договор и обработка данных в соответствующих случаях должны осуществляться с участием законного представителя ребенка.

Если хотите, я могу отдельно подготовить Вам готовый комплект именно для репетитора: политику обработки персональных данных, согласие, формулировку для переписки до пробного урока и раздел в оферту.

Если мой ответ был полезен для Вас, буду признательна за положительную оценку и благодарность через кнопку «Отблагодарить юриста» в моём профиле.

Добрый день, Анна. Отвечу по порядку на все три вопроса, потому что они плотно связаны между собой.

По уведомлению Роскомнадзора ситуация изменилась не в вашу пользу. Раньше действительно существовало исключение для обработки персональных данных в рамках договора с самим субъектом данных, но пункты 1-6 части 2 статьи 22 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», где это исключение содержалось, утратили силу с 1 сентября 2022 года на основании Федерального закона от 14.07.2022 №266-ФЗ. Сейчас без уведомления можно работать только в трех узких случаях, это персональные данные в государственных информационных системах, обработка данных о безопасности на транспорте, и обработка исключительно без использования средств автоматизации, то есть буквально без компьютеров, баз данных и электронных таблиц. Поскольку вы ведете учеников через платформу Progressme с личным кабинетом, расписанием и перепиской, речь идет именно об автоматизированной обработке, и под последнее исключение ваша деятельность не подпадает. Практический вывод такой, уведомление лучше подать, это делается через личный кабинет на портале pd.rkn.gov.ru, вход через Госуслуги, и сделать это можно самостоятельно, рассмотрение занимает до тридцати рабочих дней. Ответственность за отсутствие уведомления предусмотрена частью 10 статьи 13.11 КоАП РФ, для граждан штраф от пяти до десяти тысяч рублей, для предпринимателей он ближе к штрафу для должностных лиц, от тридцати до пятидесяти тысяч, так что подать уведомление один раз выйдет значительно дешевле, чем потом объясняться с Роскомнадзором.

Отдельный документ с политикой обработки персональных данных вам действительно нужен, и он должен существовать отдельно от договора оферты. Это прямо следует из части 2 статьи 18.1 того же закона, оператор, который собирает персональные данные через информационно-телекоммуникационную сеть, обязан опубликовать документ, определяющий его политику в отношении обработки персональных данных, в открытом доступе. На практике это короткий текст со ссылкой, размещенный там, где человек впервые оставляет вам свои данные, будь то объявление на Авито, лендинг или страница записи на пробное занятие.

Что касается согласия ученика, здесь ваша ситуация проще, чем кажется. Раз вы собираете email именно для того, чтобы заключить или исполнить договор оказания образовательных услуг, включая пробное занятие как преддоговорную стадию по инициативе самого ученика, обработка допускается и без отдельного согласия, это прямо следует из пункта 5 части 1 статьи 6 №152-ФЗ. Но раз политику публиковать все равно нужно, разумно тут же получать простое подтверждение, что человек с ней ознакомлен, это можно сделать обычным сообщением в переписке или почте вида «оставляя контактные данные, вы соглашаетесь с политикой обработки персональных данных по ссылке», закон не требует для обычных данных вроде имени и почты именно бумажной подписи, статья 9 допускает любую форму, которая позволяет подтвердить сам факт согласия, включая электронную переписку. Письменная форма обязательна только для отдельных случаев вроде специальных категорий данных или трансграничной передачи, вашего случая это не касается. Получать такое подтверждение лучше сразу при первом сборе данных, то есть уже на этапе записи на бесплатное пробное занятие, а не откладывать до момента, когда начнет действовать возмездный договор.

И последний момент про платформу Progressme. Поскольку вы передаете ей данные учеников для организации занятий, юридически это называется поручением обработки персональных данных другому лицу по части 3 статьи 6 №152-ФЗ, а не передачей третьим лицам в обычном смысле, при условии что сама платформа обязуется соблюдать конфиденциальность и требования закона. Стоит свериться с пользовательским соглашением Progressme, обычно там уже прописаны такие условия, и если да, отдельно оформлять поручение вам не придется. Если среди учеников есть несовершеннолетние, для них согласие и подтверждение ознакомления с политикой должны исходить от родителя или законного представителя, а не от самого ребенка.

Если нужно подготовить текст политики обработки персональных данных и короткую форму согласия под вашу конкретную схему работы, пишите мне в чат, помогу составить.

С уважением, Руслан

За ответ можно отблагодарить положительной отметкой или здесь pravoved.ru/pay/lawyer-reward/id/4379475/